יומן השקיפות של חבילות APK בשירותי המערכת של Google מבוסס על טכנולוגיית יומן שקיפות.
התועלת של יומני שקיפות הוכחה בפרויקטים כמו Pixel Binary Transparency וגם Certificate Transparency.
יומני שקיפות מיושמים באמצעות עצי מרקל. בדף הזה מניחים שיש לכם ידע כללי בעצי מרקל ובשקיפות בינארית. במאמר Verifiable Data Structures (מבני נתונים שניתן לאימות) מופיע סקירה כללית של עצי מרקל, ובדף הראשי מופיעה סקירה כללית של המאמץ להשגת שקיפות בינארית ב-Android.
הטמעה של יומן
יומן השקיפות של חבילות APK בשירותי המערכת של Google מיושם כעץ מרקל מבוסס-משבצות. התוכן הבסיסי של כרטיס המידע מוצג בכתובת https://developers.google.com/android/binary_transparency/google1p/tile/. שימו לב: זה לא דף אינטרנט רגיל. צריך לקרוא את רשומות היומן שנמצאות בספריות המשנה שלו באופן פרוגרמטי באמצעות ספריית Tlog של Golang SumDB, ולא דרך דפדפן. אנחנו מציינים את הקישור כאן כדי שיהיה ברור.
בקטע תוכן היומן מוסבר מה כולל כל רשומה.
הגיבוב (hash) של שורש עץ מרקל של יומן, שנמצא בנקודת ביקורת, מוצג בכתובת https://developers.google.com/android/binary_transparency/google1p/checkpoint.txt בפורמט של נקודת ביקורת. העלים של עץ מרקל הזה מוצגים בכתובת https://developers.google.com/android/binary_transparency/google1p/package_info.txt. אפשר לאמת את החתימה של נקודת הבדיקה באמצעות המפתח הציבורי שמתואר באישור הבא.
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
אם אתם מעדיפים PGP, תוכלו למצוא את אותו מפתח ציבורי גם בבלוק המפתח הציבורי של PGP באבטחת Android בכתובת https://services.google.com/corporate/publickey.txt, שמזוהה על ידי CFAB31BE8DD7AC42FC721980ECA5C68599F17322.
בדף האימות מוסבר בפירוט איך משתמשים ברכיבים השונים של היומן כדי לאמת את הטענות שמופיעות במודל של התובע.
הוכחת היתכנות לא מכוונת
הכניסה באינדקס 39 ביומן הזה היא כניסת בדיקה שגויה.
המשך הקיום שלו הוא הערובה שלכם לשלמות היומן.
אנחנו לא יכולים למחוק אותו, וזה מוכיח שגם אף אחד אחר לא יכול להסתיר רשומות זדוניות.
פרטים ספציפיים מופיעים בדף התיקונים.